法国一座数据中心烧没了，有些数据再也没回来

2021 年 3 月 10 日午夜刚过，法国斯特拉斯堡一处数据中心园区响起了火警。几个小时内，园区四栋楼里的一栋——SBG2，一座塞满服务器的五层混凝土大楼——火势彻底失控。整个地区的消防员赶来扑了一夜。天亮时，SBG2 只剩废墟。

这不是什么野鸡托管商。这是 OVHcloud，欧洲最大的云服务商之一，客户数以百万计。公司创始人 Octave Klaba 整晚都在 Twitter 上发更新，因为没有哪份新闻稿能赶上事态的速度。他直接警告客户：启动你们的灾难恢复计划吧。到早上，数百万个网站熄了灯——政府服务、游戏服务器、小企业、个人项目。而对相当一部分客户来说，还有更糟的：他们的数据直接没了。不是暂时连不上。是没了。

事实证明，"云"不是云。它是一栋楼。而楼是会烧的。

云就是一栋楼

我们说起"云"，语气像在说天气——弥漫、无处不在、不受局部灾难影响。这个比喻替整个行业默默做了很多工作：它暗示一个你摸不着的东西，也就坏不到哪儿去。但你"放进云里"的每一个文件，都躺在某个具体房间、某栋具体大楼、某条具体街道上的一块硬盘或闪存芯片里。那栋楼有屋顶、有供电线路、有电池间——正如斯特拉斯堡证明的——还有火灾荷载。

数据中心在防火上是下了血本的：气体灭火系统、防火分区、冗余供电、能在电网断电时顶上的电池组。OVH 的园区也不例外，是现代化、正规运营的设施。可火还是起了，还是蔓延了，还是一整栋楼没了。调查人员花了几个月查原因，焦点落在楼里的电气系统上——让服务器活着的那套系统，在倒霉的那个小时里，也能要了它们的命。这个讽刺不是 OVH 独有的。每座数据中心都把巨大的电能集中在一处，因为规模化计算的必需就是如此。集中是商业模式。集中也是风险。

烧掉的，和再也回不来的

这里有个最常见的误解：那些永久丢了数据的客户，丢数据并不是因为 OVH 粗心。很多人丢，是因为他们的备份就在同一栋楼里。

一份备份和原数据住在同一个设施里，那不叫备份。那叫等着同一场火的第二份拷贝。SBG2 烧起来时，那些所谓"冗余"是"SBG2 里另一个机架"的客户才发现：冗余和复制不是一回事。真正的复制意味着分离——不同的楼、不同的电网、不同的失效方式。相当多的 OVH 客户从来没做过这种分离，因为服务商让你太容易不必去想它。一切都在一个控制台里、一张账单上、一个地方。方便，悄悄替代了韧性。

这件事让人不舒服的真相是：对大多数人来说，技术恰恰是按设计运行的。同园区的 SBG3 和 SBG4 被预防性关停，后来都恢复了。有异地副本的客户重建了系统。那些失去一切的人，输给的不是一个 bug，而是一个假设：以为专业设施本身就是一种保证。

它从来不是。保证是一个流程，不是一个地方。

3-2-1 法则，和那个没人做的"1"

存储行业有一句口头禅，正是为这种场景准备的，叫 3-2-1：数据留三份，放在两种不同的介质上，其中一份异地存放。行里人人能背。普通个人却几乎没人真做。

前两条容易。三份、两种介质——一块硬盘加一个云同步，或者一台 NAS 加一块移动硬盘，大多数人能凑齐。偏偏最后那个"1"——异地的、物理分离的、最好还是离线的那份——会被悄悄跳过。跳过的原因是：它是整条法则里唯一需要持续投入的部分——第二个地点、一套例行工作、一个在你根本不惦记这件事的时候替你照看它的人。

斯特拉斯堡惩罚的正是这个被跳过的"1"。有的人几天就重建完毕。没有的人，就没有了。这条法则不在乎威胁是火灾、水灾、勒索软件，还是挖断光缆的挖掘机。它只在乎一件事：你的几份拷贝，是不是共命运。

"但服务商会搞定的"

我们最常听到的反驳是这样的：像样的服务商肯定跨区域复制，所以我用不着操心。有时候这话成立——前提是你付了钱、配好了、还验证过。但很多人在默认档位上，所谓的复制只是"园区之内"，而园区，如前所述，是一栋楼。

把思考整个外包出去，还有一个更深的问题。当服务商包办一切，你就不再追问了——哪个版本在哪儿、异地那份有多旧、今年有没有人真做过一次恢复测试。服务商的仪表盘是绿的，那一切就该没问题。可仪表盘都是变红之前一直绿着的。大火之后，一些 OVH 客户才发现，他们以为的"异地冗余"从来不是他们以为的样子。人以为自己的系统在做的事，与它实际在做的事，中间那道缝，就是数据死去的地方。

这正是存储行业的老手在"验证"上无聊得要命的原因。信任服务商的楼；验证你自己的拷贝。匠人的版本是这样说的：如果你没有亲自确认过，有一份拷贝待在单场火灾够不着的地方，你就没有备份。你只有一个希望。

总要有人负责记得

Seneca 写过，我们应该预料不幸，并为它做计划——不是出于悲观，而是因为计划能把灾难从"结局"变成"插曲"。OVH 这场火就是这句话的案例研究：有真正异地副本的客户，3 月 10 日是难熬的一周，然后就过去了；没有的客户，那一周就是结局。

教训不是"别用云"。云在访问和协作上是件好工具。教训是：任何你输不起的东西，都需要一份与原件不共命运的副本——不同的楼、不同的电网、不同的威胁模型——外加一套让这份副本保持"活着"的例行工作：定期检查、核对数据、在介质老化失效之前更换。

几乎没人亲自做这套例行工作，因为备份的全部意义，就是让你不用再惦记它。这正是悖论所在，也是"保管"会成为一份工作的原因。不是仪表盘，不是同步客户端——而是一个人，在一栋你从没去过的楼里，全部工作就是这些不起眼的照管：编号、封存、拍照、每半年检查一次封条、记录在案——而且，只有当介质的主人书面提出要求时，才会去校验介质本身。3-2-1 里面的那个"1"，由一个只做这一件事的人来完成。

火教会了斯特拉斯堡的客户老手们早就知道的事。云是一栋楼。楼会烧。按会烧来打算。

Everkeep 为你自己拥有、自己加密的硬盘提供离线保管。每个槽位包含每年两次的状态检查——检查封条、拍照、记录在案；除非你书面提出要求，你的硬盘绝不会被通电。两份拷贝，两个独立地点。每个设备槽位 199 美元/年。